CVE-2012-4969漏洞分析

CVE-2012-4969是一个存在在Microsoft Internet Explorer 6至9版本中的UAF（Use-after-free）漏洞。UAF漏洞是指攻击者通过特定手段在某个对象被释放后再次进行访问，这可能会导致内存损坏或者恶意代码的执行。在CVE-2012-4969中，问题出现在IE浏览器的mshtml.dll库文件中的CMshtmlEd::Exec函数。 这个漏洞使得远程攻击者可以通过构造特定的网页，使得访问该网页的用户执行攻击者所制定的任意代码。2012年9月，此漏洞已在通用漏洞与披露平台中公开。在环境操作系统为Windows 7 SP1，浏览器为IE 8.0.7601.17514时，能够触发漏洞。由于网络上无法搜到相关的POC（Proof of Concept，概念验证代码），但Metasploit框架提供了相关的exploit。 在测试漏洞时，使用Metasploit的exploit模块，设置好payload和需要的参数后，当访问特制的网址时，Metasploit框架能够在虚拟机中执行shellcode。尽管测试时IE浏览器崩溃但并未弹出计算器，没有完成预期的攻击，但漏洞确实被触发了。为了解决需要频繁访问网页以及MSF环境卡顿的问题，将网页内容提取到本地进行分析。 使用调试工具windbg，附加到IE进程后打开包含漏洞利用代码的HTML文件进行调试。通过观察崩溃点的汇编代码，发现edi寄存器指向了一个无效地址，这是因为对象被释放后再次被访问。通过追踪CMshtmlEd对象的创建和释放过程，可以找到对象的分配、使用和释放点。 通过IDA进行分析，可以识别CMshtmlEd类的成员函数，从而找到对象的创建和释放点。在进行调试时，设置了hpa和ust标志。在调试过程中发现，对象的释放点是在CMshtmlEd::Release函数中，而对象的重新使用点是在CMshtmlEd::Exec函数中。 通过分析，可以得出结论：CVE-2012-4969漏洞是因为CMshtmlEd类对象在释放后，其指针被错误地再次使用所导致。这样的漏洞能够被利用来执行任意代码，造成严重的安全威胁。解决这类问题，通常需要软件厂商发布安全补丁，用户及时安装更新来消除安全隐患。